¿Usas MacOS? Cuidado con esta nueva variante del malware XLoader en la aplicación OfficeNote

Una variante actualizada del malware XLoader de MacOS, ha sido detectada en la naturaleza. Lo más alarmante es que esta variante se camufla bajo la apariencia de una inofensiva aplicación de productividad de oficina llamada “OfficeNote”.

Esto ha sido descubierto por investigadores de seguridad de SentinelOne, quienes advierten sobre la gravedad de esta amenaza emergente.

Detectan nueva variante de XLoader; un peligroso malware de MacOS

La última iteración de XLoader es especialmente astuta, ya que se encuentra en una imagen de disco estándar de Apple con el engañoso nombre de “OfficeNote.dmg”. Además, la aplicación contenida en el interior lleva la firma del desarrollador “MAIT JAKHU (54YDV8NU9C)”.

Este movimiento es parte de una evolución constante del malware, que fue detectado por primera vez en 2020 y se considera un sucesor de Formbook. XLoader opera bajo el modelo de malware como servicio (MaaS), siendo un ladrón de información y keylogger de alto riesgo.

Lo que diferencia a esta versión de XLoader de sus predecesores es su adaptación para el entorno MacOS. En julio de 2021, una variante de este malware había sido distribuida como un programa Java en forma de archivo .JAR compilado, lo que limitaba su ejecución debido a la falta del Entorno de Ejecución de Java en las Macs modernas.

Sin embargo, la última versión ha superado esta limitación al cambiar a lenguajes de programación como C y Objective C. Esto se evidencia en la firma de archivo de imagen de disco que data del 17 de julio de 2023, aunque Apple ha revocado esta firma desde entonces.

El impacto de esta amenaza es notable. SentinelOne ha detectado múltiples envíos de este malware en VirusTotal a lo largo del mes de julio de 2023, lo que sugiere una campaña extendida. Además, los criminales han estado promocionando la versión para Mac de XLoader en foros de crimeware, ofreciéndola en alquiler por $199 al mes o $299 por tres meses. Sorprendentemente, esto es relativamente caro en comparación con las variantes de Windows de XLoader, que se venden por $59 al mes y $129 por tres meses.

Cuando OfficeNote se ejecuta, aparece un mensaje de error que sugiere que la aplicación no puede abrirse debido a la falta del elemento original. Sin embargo, esto es una artimaña, ya que en realidad OfficeNote instala un “Agente de Inicio” en segundo plano para lograr persistencia en el sistema.

Una vez activo, XLoader se dedica a recopilar datos del portapapeles y cualquier información almacenada en los directorios asociados con navegadores web como Google Chrome y Mozilla Firefox. Es importante destacar que Safari no es un objetivo de esta variante.

Además de estas tácticas de evasión, el malware está configurado para ejecutar comandos de suspensión para retrasar su ejecución y evitar ser detectado por soluciones de seguridad. En resumen, XLoader sigue siendo una amenaza muy real para los usuarios de MacOS y las empresas.

Recordamos otras terribles amenazas en dispositivos Apple

La aparición de XLoader como un nuevo malware para MacOS nos recuerda que la seguridad en dispositivos Apple no es invulnerable. A lo largo de los años, varios malwares notorios han atacado a los dispositivos Apple, desafiando la noción de que son inmunes a las amenazas cibernéticas.

Uno de los primeros ejemplos notorios fue el troyano Flashback, que apareció en 2011. Aprovechando una vulnerabilidad de Java, Flashback infectó a más de 600,000 Macs en todo el mundo, convirtiéndolo en uno de los ataques más grandes contra la plataforma de Apple en ese momento.

En 2015, se descubrió WireLurker, un malware que se dirigía principalmente a dispositivos iOS a través de aplicaciones de terceros en China. WireLurker tenía la capacidad de infectar dispositivos no jailbroken y demostró que incluso los sistemas iOS estaban en riesgo.

El ransomware KeRanger hizo su debut en 2016, marcando el primer caso documentado de ransomware dirigido a Mac. Se distribuyó a través de una versión comprometida de la popular aplicación de torrent Transmission. Esto demostró que los usuarios de MacOS ya no podían considerarse inmunes a las amenazas de ransomware.

Luego, en 2017, apareció FruitFly, un spyware diseñado para espiar a usuarios de Mac durante años sin ser detectado. Este malware demostró que los dispositivos Apple también eran objetivos de amenazas de larga duración.